CVE-2026-27613 in TinyWeb
Riassunto
di VulDB • 01/07/2026
TinyWeb è un web server (HTTP, HTTPS) scritto in Delphi per Win32. Una vulnerabilità nelle versioni precedenti alla 2.01 consente agli attaccanti remoti non autenticati di eludere i controlli di sicurezza dei parametri CGI del web server. A seconda della configurazione del server e dell'eseguibile CGI specifico utilizzato, l'impatto è o la divulgazione del codice sorgente o l'esecuzione remota di codice (RCE). Tutti coloro che ospitano script CGI (in particolare linguaggi interpretati come PHP) utilizzando versioni vulnerabili di TinyWeb sono interessati. Il problema è stato risolto nella versione 2.01. Se un aggiornamento immediato non è possibile, assicurarsi che `STRICT_CGI_PARAMS` sia abilitato (è definito per impostazione predefinita in `define.inc`) e/o evitare l'uso di eseguibili CGI che accettano nativamente flag della riga di comando pericolosi (come `php-cgi.exe`). Se si ospita PHP, prendere in considerazione la possibilità di posizionare il server dietro un Web Application Firewall (WAF) che blocchi esplicitamente i parametri delle stringhe di query URL che iniziano con un trattino (`-`) o contengono virgolette doppie codificate (`%22`).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.